Foi descoberta uma nova vulnerabilidade crítica no Kernel Linux
Foi recentemente divulgada uma vulnerabilidade crítica no Kernel Linux, identificada como CVE-2026-64600 e conhecida como RefluXFS, que poderá permitir a um utilizador local obter privilégios de administrador (root) num sistema vulnerável.
A falha afeta o sistema de ficheiros XFS quando este foi criado com a funcionalidade reflink ativa, configuração utilizada por defeito desde 2019 em diversas distribuições Linux empresariais, incluindo CloudLinux, Red Hat Enterprise Linux, AlmaLinux, Rocky Linux, Oracle Linux e outras distribuições derivadas.
Embora a exploração exija inicialmente acesso local ao sistema, uma vez obtido esse acesso – por exemplo através de uma aplicação vulnerável ou de um website comprometido – um atacante poderá elevar os seus privilégios e assumir o controlo completo do servidor.
Como funciona esta vulnerabilidade?
A vulnerabilidade encontra-se no mecanismo de Copy-on-Write (CoW) utilizado pelo XFS para gerir ficheiros que partilham os mesmos blocos de dados.
Durante determinadas operações de escrita direta (Direct I/O), o Kernel liberta temporariamente um bloqueio interno enquanto aguarda espaço no registo de transações do sistema de ficheiros. É precisamente durante essa pequena janela que um atacante consegue provocar uma condição de corrida (race condition), fazendo com que uma escrita seja efetuada sobre blocos físicos pertencentes a outro ficheiro.
Na prática, isto permite modificar diretamente no disco ficheiros protegidos para os quais o utilizador apenas possui permissões de leitura.
Entre os ficheiros potencialmente afetados encontram-se elementos críticos do sistema, como /etc/passwd ou executáveis com permissões SUID, permitindo ao atacante obter privilégios de administrador.
Segundo a Qualys, a exploração é extremamente fiável, não produz mensagens de erro no Kernel e as alterações efetuadas permanecem após o reinício do servidor.
Porque é uma vulnerabilidade particularmente grave?
Ao contrário de muitas vulnerabilidades recentes, a RefluXFS não depende de configurações invulgares nem de funcionalidades pouco utilizadas.
A vulnerabilidade encontra-se presente no Kernel Linux desde a versão 4.11, lançada em 2017, e afeta instalações que utilizem XFS com reflink, uma configuração considerada padrão em muitas distribuições atuais.
Outro aspeto preocupante é o facto de os mecanismos de proteção normalmente utilizados nos servidores Linux, como SELinux, KASLR, SMEP, SMAP ou Kernel Lockdown, não impedirem a exploração desta falha, uma vez que o problema ocorre diretamente ao nível da gestão dos blocos do sistema de ficheiros.
Também não existem atualmente medidas de mitigação eficazes que permitam reduzir significativamente o risco sem proceder à atualização do Kernel.
Sistemas afetados
Segundo a informação atualmente disponibilizada, encontram-se afetados, entre outros:
- CloudLinux 8, 9 e 10;
- Red Hat Enterprise Linux 8, 9 e 10;
- AlmaLinux 8, 9 e 10;
- Rocky Linux 8, 9 e 10;
- Oracle Linux 8, 9 e 10;
- CentOS Stream 8, 9 e 10;
- Amazon Linux 2 e Amazon Linux 2023.
Outras distribuições poderão igualmente estar vulneráveis caso utilizem XFS com reflink ativo.
Correções já disponíveis
Entretanto, os principais distribuidores Linux começaram a disponibilizar kernels corrigidos para eliminar esta vulnerabilidade.
No caso da CloudLinux, já se encontram disponíveis atualizações para CloudLinux 8, 9 e 10, bem como live patches através do KernelCare para várias versões suportadas, permitindo corrigir a vulnerabilidade sem necessidade de reiniciar o servidor em muitos casos.
Nos sistemas onde não seja possível recorrer ao KernelCare, será necessário instalar o novo Kernel e proceder ao respetivo reinício para concluir a atualização.
Medidas adotadas pela WebTuga
Na WebTuga iniciámos de imediato a análise da nossa infraestrutura e a aplicação das correções disponibilizadas pelos fabricantes.
Sempre que possível, os servidores protegidos pelo KernelCare estão a ser atualizados sem necessidade de reinício. Nos restantes casos, os kernels vulneráveis estão a ser substituídos pelas versões corrigidas, podendo ser necessário efetuar reinícios programados para concluir a atualização.
Tratando-se de uma vulnerabilidade que pode permitir a obtenção de privilégios administrativos sobre o servidor, estamos a dar prioridade à aplicação destas correções, ainda que tal possa implicar breves períodos de indisponibilidade durante as intervenções de manutenção.
Conclusão
A RefluXFS é uma das vulnerabilidades mais relevantes divulgadas recentemente para o Kernel Linux.
Embora a exploração exija um ponto de acesso inicial ao sistema, a possibilidade de transformar esse acesso limitado em controlo total do servidor torna essencial a aplicação imediata das atualizações disponibilizadas pelos fabricantes.
Continuaremos a acompanhar a evolução desta vulnerabilidade e a aplicar todas as medidas necessárias para garantir a segurança da nossa infraestrutura e dos serviços prestados aos nossos clientes.